Копия есть — восстановление проверено

RPO — это допустимый объём потерянных данных, выраженный во времени. Если база копируется раз в сутки, RPO равен суткам: при аварии в конце дня вы потеряете все заказы и заявки за этот день. RTO — допустимое время простоя, то есть срок, за который сервис должен снова работать.

Для интернет-магазина с постоянным потоком заказов разумный ориентир — RPO не более 15 минут и RTO в пределах одного-двух часов. Для внутренней системы документооборота часто достаточно RPO в один час и RTO в рабочий день. Значения определяются бизнесом, а не техническими соображениями, и именно от них зависит схема копирования и её стоимость.

Архив, из которого никто не восстанавливался, — это обещание, а не гарантия. За годы практики мы регулярно встречаем копии, которые формально создаются и имеют ненулевой размер, но не разворачиваются: обрыв выгрузки, несовпадение версии базы, отсутствие нужных файлов, забытые ключи шифрования.

Поэтому мы включаем в работу регулярное тестовое восстановление на отдельный стенд с замером времени каждого этапа. Это позволяет не только убедиться в работоспособности копий, но и уточнить фактический RTO: например, выясняется, что развёртывание базы занимает 20 минут, а загрузка файлов из холодного хранилища — два часа. Без такого замера оценка времени восстановления остаётся догадкой.

Резервные копии содержат те же персональные данные, что и продакшен, но часто без тех же мер защиты. Мы шифруем архивы до выгрузки за пределы площадки и храним ключи отдельно от самих копий: тогда утечка носителя или ошибка в настройках доступа к хранилищу не приводит к компрометации данных.

Дополнительно ограничиваем круг лиц с доступом к копиям, ведём журнал скачиваний и устанавливаем срок хранения. Данные, которые больше не нужны, удаляются из архивов по регламенту — это снижает и риск, и стоимость хранения, и объём обязательств перед клиентами.